Neredeyse 2022 yılbaşından bu yana beklenen ISO 27001:2022 standardı yayınlandı. Konu ile ilgili sıcağı sıcağına ilk izlenimleri aşağıdaki soru cevaplarda toplamaya çalıştık.
İyi okumalar.
ISO 27001 zaten yılbaşında güncellenmemiş miydi?
2022 Şubat ayında da ISO 27001 standardının güncellenmesi ile ilgili yoğun bir etkileşim olmuştu. Ama o zaman güncellenen 27001 için uygulama kılavuzu görevi gören ISO 27002 standardı idi.
ISO 27001:2022 için değişikleri en kısa nasıl özetleyebiliriz?
ISO 27001 standardı temel olarak “Ana Kısım” ve EK-A kontrol maddelerinden oluşuyor.
Standardın ilk 10 bölümünü oluşturan kısımda değişiklikler yok denecek kadar az (Detaylar başka bir yazının konusu olduğundan burada değinilmemektedir.).
EK-A kısmında değişiklikler aşağıdaki gibi özetlenebilir.
- 114 olan kontrol maddesi sayısı 93 adet olarak revize edildi. Ancak bu kapsamın daraldığı anlamına gelmiyor. Benzen kontrollerin birleşmesi nedeni ile sayı azaldı.
- Aşağıdaki yeni kontrol başlıkları eklendi.
- 5.7 Threat intelligence
- 5.23 Information security for use of cloud services
- 5.30 ICT readiness for business continuity
- 7.4 Physical security monitoring
- 8.9 Configuration management
- 8.10 Information deletion
- 8.11 Data masking
- 8.12 Data leakage prevention
- 8.16 Monitoring activities
- 8.23 Web filtering
- 8.28 Secure coding
- Kontrol maddeleri aşağıdaki gibi gruplandı. Bu olayı daha sistematik hale getirdi.
- Organizational controls (clause 5)
- People controls (clause 6)
- Physical controls (clause 7)
- Technological controls (clause 8)
- Kontrol maddeleri için ek özellikler tanımlandı.
- Preventive
- #Detective
- #Corrective
Mevcut ISO 27001 sertifikasyonları şimdi geçersiz mi olacak? Nasıl bir geçiş olacak?
Mevcut ISO 27001 sertifikalarının durumu ve ISO 27001:2022’e geçiş ile ilgili olarak IAF tarafından bir rehber yayınlanmıştır.
Rehbere aşağıdaki linkten erişilebilir.
Rehberde özetle;
- Geçiş için toplamda 36 aylık bir süre tanımlanmıştır.
- Standardın yayınlanmasından sonraki ilk 12 ay içinde eski versiyona göre ilk belgelendirme tetkikleri yapılmaya devam edebilecektir.
- Standardın yayınlanmasının üzerinden 12 ay geçtikten sonra ilk belgelendirmeler mutlaka yeni versiyona göre yapılacaktır.
- Mevcut belgeli kurumların yeni versiyona geçişleri için ise standardın yayınlanmasından itibaren 3 yıl süre tanınmıştır.
- 3 yıllık geçiş süreci sonunda 2013 versiyonuna ait tüm sertifikalar geçerliliğini kaybedecektir.